CISA warnt vor aktiv ausgenutzter Schwachstelle in Check Point Security Gateways bei Ransomware-Angriffen

Sicherheitslage und Risiko

Ransomware-Betreiber zielen routinemäßig auf VPN-Gateways als Einstiegspunkte ab, um laterale Bewegungen, Datenexfiltration und schließlich die Auslieferung von Schadsoftware in kompromittierten Netzwerken zu ermöglichen. Die Schwachstelle betrifft Check Point Security Gateway-Produkte, die das IKEv1-Protokoll für Remote-Access-VPNs verwenden.

Organisationen, die diese Gateways mit aktiviertem IKEv1 einsetzen, sind unmittelbar gefährdet.

Ein Angreifer, der diese Lücke ausnutzt, könnte: - Mehrstufige Authentifizierung und passwortbasierte Zugangsmechanismen vollständig umgehen, - einen dauerhaften VPN-Zugang zu internen Netzwerkbereichen etablieren, - lateral zu hochwertigen Zielen vordringen, einschließlich Domänencontroller und Datenspeicher, - Ransomware ausführen oder sensible Daten exfiltrieren, ohne dass dabei Standard-Authentifizierungsalarme ausgelöst werden.

Sicherheitslage und Risiko

Maßnahmen zur Abwehr Check Point hat einen offiziellen Hotfix veröffentlicht, der die Schwachstelle in veralteten Implementierungen des IKEv1-VPN-Protokolls behebt.

Die CISA empfiehlt Organisationen, die folgenden Maßnahmen unverzüglich umzusetzen: Richten Sie die vom Anbieter bereitgestellten Abhilfemaßnahmen gemäß den Anweisungen in Check Points Sicherheitswarnung und Support-Artikel SK185033 ein. Beachten Sie die Vorgaben von BOD 22-01 für Cloud-basierte Bereitstellungen der betroffenen Produkte.

Beenden Sie die Nutzung des Produkts, wenn die vom Anbieter bereitgestellten Abhilfemaßnahmen nicht rechtzeitig angewendet werden können. Deaktivieren Sie IKEv1, sofern es nicht ausdrücklich erforderlich ist, und migrieren Sie auf IKEv2 als moderne, unterstützte Alternative.

Technischer Hintergrund

Organisationen sollten zudem VPN-Authentifizierungsprotokolle auf anomale Verbindungsversuche prüfen, die keine entsprechenden gültigen Authentifizierungsevents aufweisen – ein möglicher Indikator für eine frühere Ausnutzung.

Diese Offenlegung unterstreicht das anhaltende Risiko, das die Unterstützung veralteter Protokolle in Unternehmenssicherheitsprodukten darstellt. VPN-Gateways sind hochattraktive Ziele, da deren Kompromittierung Angreifern den Anschein authentifizierten Netzwerkzugangs verschafft.

Sicherheits-Teams sollten diesen Patch als kritische Priorität behandeln und den Einsatz des Hotfixes auf allen Gateway-Instanzen vor der von CISA festgelegten Frist überprüfen.